静态 API 密钥在企业生产环境里一直是块心病。泄露、轮换、权限越界——每一个事故背后都站着同一类凭证管理问题。Anthropic 这次在 Claude Platform 上全面开放的 Workload Identity Federation（WIF），本质上就是要把这块心病连根拔掉。WIF 兼容任意 OIDC 身份提供者，覆盖所有 Claude API 端点，包括第一方 SDK 和 Claude Code，企业可以直接拿现有的身份体系接入，不用再为 Claude 单独维护一套密钥生命周期。
WIF 的核心机制是用短生命期凭证替换静态 API 密钥。凭证由身份提供商动态签发，按需获取、自动过期，从根本上压缩了泄露窗口。配套引入的服务账户（Service Accounts）则让每个工作负载——CI/CD 流水线、Kubernetes Job、Serverless 函数——都拥有独立身份与角色，审计日志可以精确追溯到具体调用方，再也不会出现"谁用这个密钥跑了这个请求"这种悬案。Claude Console 提供了引导式设置流程，Admin API 也支持组织级管理，迁移路径对现有用户比较友好：API 密钥和 WIF 可以并行运行，团队可以按自己的节奏逐步切换，不必一刀切。
对企业架构师来说，WIF 解决的不只是"少一个密钥"的问题，而是把 Claude 接入纳入了企业现有的零信任与最小权限体系。短期凭证、可审计身份、细粒度角色——这三条在金融、医疗、政企场景里几乎都是硬性要求，过去需要自建代理层才能勉强实现，现在变成了平台原生能力。从 Anthropic 的节奏看，WIF 全面开放意味着 Claude 正在从"开发者玩具"向"企业基础设施"完成一次关键跃迁。
